【手続補正書】
【提出日】平成18年1月17日(2006.1.17)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
互いに通信可能な、第一のサイトに設置されている第一の情報処理装置と、第二のサイトに設置されている第二の情報処理装置と、第三のサイトに設置されている第三の情報処理装置と、を備え、
前記第二の情報処理装置は、前記第二のサイトで運用されている情報セキュリティポリシーが対抗できる脅威を示すデータである対策済み脅威データを記憶する対策済み脅威データ記憶部を有し、
前記第三の情報処理装置は、過去に生じた脅威を示すデータである脅威データを記憶する脅威データ記憶部を有し、
前記第二の情報処理装置は、前記対策済み脅威データを前記第一の情報処理装置に送信する対策済み脅威データ送信部を有し、
前記第三の情報処理装置は、前記脅威データを前記第一の情報処理装置に送信する脅威データ送信部を有し、
前記第一の情報処理装置は、前記対策済み脅威データを受信する対策済み脅威データ受信部と、前記脅威データを受信する脅威データ受信部とを有し、
前記第一の情報処理装置は、前記脅威データと、前記対策済み脅威データとの対応を示すデータである対応データを記憶する対応データ記憶部を有し、
前記第一の情報処理装置は、前記対応データに基づいて、前記対策済み脅威データ受信部が受信した前記対策済み脅威データの中から、前記脅威データ受信部が受信した脅威データに、対応する脅威データが存在するものを抽出する有効な対策済み脅威データ抽出部と、抽出した前記対策済み脅威データを記載した評価データを生成する評価データ生成部とを有すること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項２】
互いに通信可能な、第一のサイトに設置されている第一の情報処理装置と、第二のサイトに設置されている第二の情報処理装置と、第三のサイトに設置されている第三の情報処理装置と、を備え、
前記第二の情報処理装置は、前記第二のサイトで運用されている情報セキュリティポリシーが対抗できる脅威を示すデータである対策済み脅威データを記憶する対策済み脅威データ記憶部を有し、
前記第三の情報処理装置は、過去に生じた脅威を示すデータである脅威データを記憶する脅威データ記憶部を有し、
前記第二の情報処理装置は、前記対策済み脅威データを前記第一の情報処理装置に送信する対策済み脅威データ送信部を有し、
前記第三の情報処理装置は、前記脅威データを前記第一の情報処理装置に送信する脅威データ送信部を有し、
前記第一の情報処理装置は、前記対策済み脅威データを受信する対策済み脅威データ受信部と、前記脅威データを受信する脅威データ受信部とを有し、
前記第一の情報処理装置は、前記脅威データと、前記対策済み脅威データとの対応を示すデータである対応データを記憶する対応データ記憶部を有し、
前記第一の情報処理装置は、前記対応データに基づいて、前記脅威データ受信部が受信した前記脅威データの中から、対応する対策済み脅威データが、前記対策済み脅威データ受信部が受信した前記対策済み脅威データ中に存在しない脅威データを抽出する未対策脅威データ抽出部と、抽出した脅威データを記載した評価データを生成する評価データ生成部とを有すること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項３】
請求項１に記載の情報セキュリティポリシー評価システムにおいて、
前記第一の情報処理装置は、
前記脅威データのそれぞれについて、その脅威により被害を受けた場合に生じる損害の大きさを示すデータである損害量データを記憶する損害量データ記憶部を有し、
前記評価データ生成部は、前記有効な対策済み脅威データ抽出部により抽出した前記対策済み脅威データを、前記各対策済み脅威データについて前記対応データに対応づけられている前記脅威データの前記損害量データの降順に整列して記載した前記評価データを生成する効果順整列部を有すること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項４】
請求項１に記載の情報セキュリティポリシー評価システムにおいて、
前記第一の情報処理装置は、
前記脅威データのそれぞれについて、その脅威により被害を受けた場合に生じる損害の大きさを示すデータである損害量データを記憶する損害量データ記憶部を有し、
前記評価データ生成部は、前記未対策脅威データ抽出部により抽出された前記脅威データを、前記損害量データの降順に整列して記載した前記評価データを生成する考慮優先順整列部を有すること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項５】
請求項３または４に記載の情報セキュリティポリシー評価システムにおいて、
前記第三の情報処理装置の前記脅威データ送信部は、前記損害量データを前記脅威データに付帯させて前記第一の情報処理装置に送信し、
前記第一の情報処理装置の前記脅威データ受信部は、前記脅威データとともに前記損害量データを受信し、
前記第一の情報処理装置の前記損害量データ記憶部は、受信した前記損害量データを記憶すること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項６】
請求項１〜４のいずれかに記載の情報セキュリティポリシー評価システムにおいて、
前記第三の情報処理装置は、前記脅威データを更新する脅威データ更新部を有し、
前記脅威データ送信部は、前記脅威データ更新部により前記脅威データが更新された場合に前記更新後の脅威データを前記第一の情報処理装置に送信すること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項７】
請求項１〜４のいずれかに記載の情報セキュリティポリシー評価システムにおいて、
前記評価データ生成部により生成された評価データの内容をディスプレイに表示もしくは印刷装置により印字する評価結果出力部を有すること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項８】
請求項１〜４のいずれかに記載の情報セキュリティポリシー評価システムにおいて、
前記第一乃至第三の情報処理装置と通信可能に接続している、第四のサイトに設置されている第四の情報処理装置を備え、
前記第四の情報処理装置は、前記第二のサイトを運営する組織が加入している、脅威による被害を受けた場合に生じる損害を補償する保険の補償額を記憶する補償額記憶部を有し、
前記第一の情報処理装置は、前記評価データ生成部により生成された前記評価データを、前記第四の情報処理装置に送信する評価データ送信部を有し、
前記第四の情報処理装置は、前記評価データを受信する評価データ受信部を有し、
前記第四の情報処理装置は、記憶している前記補償額を、前記評価データ受信部により受信した前記評価データに応じて決定される前記補償額に設定し直す補償額設定部を有すること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項９】
請求項１〜４のいずれかに記載の情報セキュリティポリシー評価システムにおいて、
前記第二のサイトは情報セキュリティポリシーの評価を依頼する顧客のサイトであり、
前記第三のサイトは、脅威に関する情報を収集しその提供を行っている脅威情報を提供する脅威情報提供業者のサイトであり、前記第一のサイトは、前記顧客からの依頼に応じて前記第二のサイトで運用されている情報セキュリティポリシーの評価を行う評価業者のサイトであること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項１０】
請求項８に記載の情報セキュリティポリシー評価システムにおいて、
前記第二のサイトは情報セキュリティポリシーの評価を依頼する顧客のサイトであり、
前記第三のサイトは、脅威に関する情報を収集しその提供を行っている脅威情報を提供する脅威情報提供業者のサイトであり、
前記第一のサイトは、前記顧客からの依頼に応じて前記第二のサイトで運用されている情報セキュリティポリシーの評価を行う評価業者のサイトであり、
前記第四のサイトは、前記顧客を加入者とし、前記第二のサイトが脅威を受けた場合に生じる損害を補償する保険を商品とする保険業を運営する保険業者のサイトであり、
前記顧客は、前記評価業者に前記情報セキュリティポリシーの評価を依頼するための評価手数料を支払う者であり、
前記評価業者は、前記顧客から前記評価手数料を受け取り、受け取った前記評価手数料の一部を情報提供料として前記脅威情報提供業者に支払い、受け取った前記評価手数料の一部を前記補償額を変更するかわりに前記保険業者に支払う者であり、
前記顧客は、前記保険のために支払う保険料として支払う者であり、
前記保険業者は、前記評価データに応じて前記補償額を決定する者であること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項１１】
請求項１０に記載の情報セキュリティポリシー評価システムにおいて、
前記評価業者もしくは前記保険業者は、前記顧客が、前記情報セキュリティポリシーに従って適切に運用を行っているかどうかを監査した監査レポートを作成し、前記監査レポートに応じて前記補償額を決定する者であること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項１２】
請求項８に記載の情報セキュリティポリシー評価システムにおいて、
前記第四の情報処理装置は、前記第一のサイトに設置され、前記第一の情報処理装置を運営する組織と同じ組織によって運営されていること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項１３】
互いに通信可能な、第一のサイトに設置されている第一の情報処理装置と、第二のサイトに設置されている第二の情報処理装置と、第三のサイトに設置されている第三の情報処理装置と、を備え、
前記第二の情報処理装置は、前記第二のサイトで運用されている情報セキュリティポリシーを示すデータであるポリシーデータを記憶するポリシーデータ記憶部を有し、
前記第三の情報処理装置は、過去に生じた脅威を示すデータである脅威データを記憶する脅威データ記憶部を有し、
前記第二の情報処理装置は、前記ポリシーデータを前記第一の情報処理装置に送信するポリシーデータ送信部を有し、
前記第三の情報処理装置は、前記脅威データを前記第一の情報処理装置に送信する脅威データ送信部を有し、
前記第一の情報処理装置は、前記ポリシーデータを受信するポリシーデータ受信部と、前記脅威データを受信する脅威データ受信部とを有し、
前記第一の情報処理装置は、前記脅威データと、前記脅威データが示す脅威に対して有効な情報セキュリティポリシーを示すポリシーデータとの対応を示すデータである対応データを記憶する対応データ記憶部を有し、
前記第一の情報処理装置は、前記対応データに基づいて、前記ポリシーデータ受信部が受信した前記ポリシーデータの中から、前記脅威データ受信部が受信した脅威データに、対応する脅威データが存在するポリシーデータを抽出する有効なポリシーデータ抽出部と、抽出した前記ポリシーデータを記載した評価データを生成する評価データ生成部とを有すること、
を特徴とする情報セキュリティポリシー評価システム。
【請求項１４】
互いに通信可能な、第一のサイトに設置されている第一の情報処理装置と、第二のサイトに設置されている第二の情報処理装置と、第三のサイトに設置されている第三の情報処理装置と、を備え、
前記第二の情報処理装置は、前記第二のサイトで運用されている情報セキュリティポリシーを示すデータであるポリシーデータを記憶するポリシーデータ記憶部を有し、
前記第三の情報処理装置は、過去に生じた脅威を示すデータである脅威データを記憶する脅威データ記憶部を有し、
前記第二の情報処理装置は、前記ポリシーデータを前記第一の情報処理装置に送信するポリシーデータ送信部を有し、
前記第三の情報処理装置は、前記脅威データを前記第一の情報処理装置に送信する脅威データ送信部を有し、
前記第一の情報処理装置は、前記ポリシーデータを受信するポリシーデータ受信部と、前記脅威データを受信する脅威データ受信部とを有し、
前記第一の情報処理装置は、前記脅威データと、前記脅威データが示す脅威に対して有効な情報セキュリティポリシーを示すポリシーデータとの対応を示すデータである対応データを記憶する対応データ記憶部を有し、
前記第一の情報処理装置は、前記対応データに基づいて、前記脅威データ受信部が受信した前記脅威データの中から、前記ポリシーデータ受信部が受信した前記ポリシーデータ中に、対応するポリシーデータが存在しない脅威データを抽出する未対策脅威データ抽出部と、抽出した脅威データを記載した評価データを生成する評価データ生成部とを有すること、
を特徴とする情報セキュリティポリシー評価システム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】発明の名称
【補正方法】変更
【補正の内容】
【発明の名称】情報セキュリティポリシー評価システム
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
この発明は、情報セキュリティポリシー評価システムに関し、特に企業等の組織において企業等の組織において情報セキュリティポリシーを効率よくかつ適切に策定し運用する技術に関する。